PT-2025-46211 · Unknown+1 · Pdfminer.Six+1

Mtolley · Publicado 2025-11-07 · Atualizado 2026-06-03 · CVE-2025-64512

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.6

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Versões do Pdfminer.six anteriores a 20251107

Descrição O Pdfminer.six é uma ferramenta para extrair informações de documentos PDF. Antes da versão 20251107, o software poderia executar código arbitrário a partir de um arquivo pickle malicioso ao processar um PDF malicioso. A função CMapDB. load data() usa pickle.loads() para desserializar arquivos pickle. Um PDF malicioso pode especificar um diretório alternativo e um nome de arquivo terminando em .pickle.gz, permitindo que um arquivo pickle compactado malicioso contenha código que é executado automaticamente quando o PDF é processado.

Recomendações Atualize para a versão 20251107.

Exploit

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2025-64512

DLA-4374-1

DLA-4374-2

DSA-6062-1

GHSA-WF5F-4JWR-PPCP

OPENSUSE-SU-2025:15727-1

Produtos afetados

Debian

Pdfminer.Six

Referências · 29

• 🔥 https://github.com/pdfminer/pdfminer.six/security/advisories/GHSA-wf5f-4jwr-ppcp · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2025/64xxx/CVE-2025-64512.json · Exploit
• https://github.com/pdfminer/pdfminer.six · Nota
• https://github.com/pdfminer/pdfminer.six/commit/b808ee05dd7f0c8ea8ec34bdf394d40e63501086 · Correção
• https://github.com/pdfminer/pdfminer.six/releases/tag/20251107 · Nota
• https://osv.dev/vulnerability/openSUSE-SU-2025:15727-1 · Aviso do Fabricante
• https://twitter.com/CveTodo/status/1988013360479174877 · Publicação no Twitter
• https://suse.com/security/cve/CVE-2025-64512 · Nota
• https://twitter.com/Cezar_H_Linux/status/2010317646953316481 · Publicação no Twitter
• https://osv.dev/vulnerability/GHSA-wf5f-4jwr-ppcp · Aviso do Fabricante
• https://t.me/cveNotify/148136 · Publicação no Telegram
• https://lists.debian.org/debian-lts-announce/2025/11/msg00017.html · Nota
• https://t.me/cveNotify/143296 · Publicação no Telegram
• https://security-tracker.debian.org/tracker/CVE-2025-64512 · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2025-64512 · Aviso do Fabricante